ok, admettons (oui, ça veut dire que je ne suis pas convaincu mais prend cette hypothèse pour la suite)
et j'ai fait l'erreur de demander à ceux qui ont plussé et non pas à l'auteur, donc je reprend la question : de combien de temps juges-tu qu'il faut avant de sortir la faille non corrigée? 6 mois? 1 an? 10 ans? 100 ans?
Question bonus : pourquoi la norme tend-elle alors vers 90 jours pour les autres (y compris des boites qui gèrent plus d'1 milliard d'instances) et que juste Microsoft ne devrait pas avoir "si peu" de temps pour corriger?
A noter que plus on attend, et plus on a de risques qu'un autre, moins sympa que ceux qui acceptent l'embargo, trouve la faille et l'exploite... du coup je suis plus convaincu par l'utilité d'un nombre de 90 pour tout le monde, arbitraire, oui mais non, c'est un compromis entre 2 problèmes (tests vs risques de découverte), et attend du coup une bonne argumentation pour dépasser ce nombre autre que "bah on a eu quelques problèmes internes".
[^] # Re: J'ai bien tout compris ?
Posté par Zenitram (site web personnel) . En réponse au journal Internet Explorer : 4 failles 0 day publiées. Évalué à 8. Dernière modification le 25 juillet 2015 à 22:16.
ok, admettons (oui, ça veut dire que je ne suis pas convaincu mais prend cette hypothèse pour la suite)
et j'ai fait l'erreur de demander à ceux qui ont plussé et non pas à l'auteur, donc je reprend la question : de combien de temps juges-tu qu'il faut avant de sortir la faille non corrigée? 6 mois? 1 an? 10 ans? 100 ans?
Question bonus : pourquoi la norme tend-elle alors vers 90 jours pour les autres (y compris des boites qui gèrent plus d'1 milliard d'instances) et que juste Microsoft ne devrait pas avoir "si peu" de temps pour corriger?
A noter que plus on attend, et plus on a de risques qu'un autre, moins sympa que ceux qui acceptent l'embargo, trouve la faille et l'exploite... du coup je suis plus convaincu par l'utilité d'un nombre de 90 pour tout le monde, arbitraire, oui mais non, c'est un compromis entre 2 problèmes (tests vs risques de découverte), et attend du coup une bonne argumentation pour dépasser ce nombre autre que "bah on a eu quelques problèmes internes".